Uma ferramenta comercial chamada Webloc, vendida pela empresa norte-americana Penlink, está a dar a forças policiais de vários países a capacidade de seguir telemóveis sem passar pelos operadores. Aplicações banais de meteorologia, jogos, correio eletrónico e conteúdos religiosos funcionam como matéria-prima do sistema, através dos dados que alimentam a publicidade. O tema voltou à ribalta com uma investigação da Bloomberg e foi destacado a 12 de novembro pelo especialista Bruce Schneier.
Resposta rápida: O Webloc é um produto da Penlink que transforma dados de localização recolhidos por apps comuns e pela publicidade digital num mapa pesquisável de telemóveis. O historial disponível recua 12 meses e a atualização chega de hora a hora, segundo documentos citados pela Bloomberg. As fontes consultadas não referem Portugal entre os clientes. Para reduzir a exposição, elimine o identificador de publicidade do telemóvel e reveja as permissões de localização das suas apps.
O que faz o Webloc
De acordo com a investigação da Bloomberg, publicada a 5 de novembro, a consulta é feita sobre um mapa. Basta um local e uma janela temporal para surgir a lista de todos os telemóveis ali presentes, num universo que os documentos da empresa descrevem como milhares de milhões de pontos de localização. O Webloc é comercializado como complemento opcional da plataforma Tangles, também da Penlink.
A Quinta Avenida, em Nova Iorque, a sede do Banco Central Europeu, em Frankfurt, e as imediações do Parlamento britânico serviram de cenário às demonstrações comerciais do produto.
O funcionamento já tinha sido descrito em abril pelo Citizen Lab, da Universidade de Toronto. Dados comprados a aplicações de consumo e ao circuito da publicidade digital alimentam a vigilância de centenas de milhões de pessoas, concluíram os investigadores. Na origem do produto está a Cobwebs Technologies, empresa de vigilância que se fundiu com a Penlink em 2023.
Quem compra esta tecnologia
Quatro contratos celebrados com a Cobwebs e a Penlink entre 2022 e 2026, com licenças do Webloc incluídas, custaram ao serviço de imigração norte-americano (ICE) cerca de 9 milhões de dólares, de acordo com registos de contratação pública.
Na lista de clientes que a Bloomberg atribui a registos de vendas e a fontes anónimas figuram a Polícia Metropolitana de Londres e autoridades da Arábia Saudita, Singapura, México, Israel, Emirados Árabes Unidos, Países Baixos e Alemanha. Nenhum comentário veio da Polícia Metropolitana, da Polícia Federal alemã nem dos serviços de informações neerlandeses.
A Hungria é, segundo o Citizen Lab, o primeiro caso europeu confirmado deste tipo de vigilância: os serviços de informações internos do país recorrem ao Webloc pelo menos desde 2022.
O interesse não se limita ao Estado. Bancos, empresas de segurança e retalhistas surgem, nos documentos internos, como alvo comercial de uma variante chamada Safeloc, pensada para deteção de fraude e avaliação de risco de crédito.
O que diz a Penlink
A empresa contesta as críticas. Na resposta enviada ao Citizen Lab, a conformidade com as leis de privacidade dos estados norte-americanos aparece como argumento central. Sem resposta ficaram as perguntas sobre o cumprimento das regras de proteção de dados fora dos Estados Unidos, incluindo na Europa.
Os dados chegam, segundo um porta-voz, de vários parceiros que os recolhem através de componentes de software (SDK) próprios, integrados em aplicações. Hospitais, escolas e instituições religiosas ficam de fora, por filtragem a cargo desses fornecedores, garantiu a empresa à rádio pública NPR.
Do lado do Departamento de Segurança Interna dos EUA, a posição oficial é a de que o ICE só recorre a ferramentas para as quais tem autoridade legal.
Cronologia
| Data | Acontecimento |
|---|---|
| 2023 | Fusão da Cobwebs Technologies, criadora do Webloc, com a Penlink |
| Março de 2026 | Apelo de 17 procuradores-gerais estaduais democratas ao Congresso para legislar sobre esta lacuna |
| 9 de abril de 2026 | Relatório do Citizen Lab sobre o Webloc |
| Junho de 2026 | Fim do projeto-piloto do Webloc na agência federal ATF, por rescisão do contrato |
| 29 de junho de 2026 | Decisão do Supremo Tribunal dos EUA no caso Chatrie: em regra, a polícia precisa de mandado para obter dados de localização detalhados |
| 5 de novembro de 2026 | Investigação da Bloomberg com base em documentos da empresa |
| 12 de novembro de 2026 | Destaque do tema no blogue de Bruce Schneier |
A decisão Chatrie dizia respeito a dados pedidos à Google. A compra de dados a intermediários comerciais continua a ser apontada como via paralela, que dispensa a assinatura de um juiz.
Como reduzir a exposição do seu telemóvel
Nenhuma medida elimina por completo o problema, mas é possível cortar boa parte do fluxo de dados:
- Android: em
Definições > Privacidade > Anúncios, escolha eliminar o ID de publicidade. - iPhone: em
Definições > Privacidade e segurança > Seguimento, desative os pedidos de seguimento das apps. - Permissões: limite a localização a «durante a utilização», desligue a localização exata onde não é necessária e retire-a a apps que não precisam dela.
- Limpeza: desinstale aplicações que já não usa, sobretudo gratuitas e financiadas por publicidade.
- Organizações: aplique estas definições por política de gestão de dispositivos (MDM) e inventarie os SDK de terceiros incluídos nas apps que desenvolve.
Porque importa em Portugal
As fontes consultadas não referem Portugal entre os clientes identificados, mas as apps e as redes de publicidade em causa são as mesmas que os portugueses usam. Um identificador de publicidade associado a registos de localização não torna a informação anónima à luz do direito europeu: o Citizen Lab sublinha que se trata de dados pessoais, abrangidos pelo RGPD. A licitude destas cadeias de dados deveria, defendem os investigadores, ser escrutinada pelas autoridades de proteção de dados europeias. Em Portugal, essa competência cabe à CNPD.
Para as organizações há duas leituras. Quem publica aplicações com SDK publicitários é responsável pelos dados que estes recolhem. E a localização de colaboradores, dirigentes ou instalações sensíveis, disponível no mercado, é um risco de segurança operacional. As entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025) devem ponderá-lo na gestão de risco e da cadeia de fornecimento, em linha com as boas práticas divulgadas pelo CNCS.
Perguntas frequentes
O que é o Webloc?
É um produto de geolocalização da Penlink, vendido a forças policiais e outras autoridades. Dados adquiridos a aplicações de consumo e à publicidade digital servem-lhe de base para acompanhar centenas de milhões de pessoas, segundo o Citizen Lab.
A polícia portuguesa usa o Webloc?
As fontes consultadas não identificam Portugal como cliente. Na Europa, os países mencionados são o Reino Unido, os Países Baixos, a Alemanha e a Hungria.
Estes dados de localização são anónimos?
Não, de acordo com o Citizen Lab. Registos de localização ligados a um identificador de publicidade contam, no quadro europeu, como dados pessoais.
Como posso proteger o meu telemóvel?
Elimine o ID de publicidade no Android ou desative os pedidos de seguimento no iPhone. Depois, reveja as permissões de localização e desinstale as apps de que não precisa.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Citizen Lab, pela Bloomberg e por Bruce Schneier.